Le retour d'expérience d'une crypto-party / chiffro-fête organisée à Brest par des novices (dont je faisais partie, hein :P ) en octobre 2015 (et oui, ça date mais ce CR est beaucoup plus récent).

Globalement

• Tenir compte du pouvoir de prescription qu'a ce genre d'événements. Évidemment, ne pas "conseiller" des outils cryptos qui ne sont pas éprouvés ou qui sont des illusions de sécurité (exemples : Chiffrement de Vernam ou « comment (ne pas) faire de la cryptographie (comme Blind Eagle) ou Snake Oil - Looking for a list of previous KickStarters/other crowd funding initiatives). Mais ça peut aller plus loin :

  • Que faut-il conseiller entre un outil de chiffrement de SMS accessible au plus grand nombre mais qui balance les métadonnées à Google (comme SMS Secure / Signal) ou un outil de chiffrement de SMS moins facilement utilisable (la vérification de l'identité est plus pénible) mais Google-free (comme Text Secure) alors que l'on sait que les métadonnées disent tout de nous (illustrations : Les métadonnées téléphoniques révèlent des informations très privées ou Comment votre smartphone transmet en toute innocence pratiquement toute votre vie aux services secrets) ?

  • Faut-il conseiller Telegram qui n'utilise pas le chiffrement de bout-en-bout c'est-à-dire que son éditeur peut déchiffrer toutes les communications (selon sa propre volonté, de celles de ses partenaires économiques, de celles des services de renseignement / police, etc.) et qui fait fuiter les métadonnées ?

  • Une fois qu'on a connaissance de l'antécédent fâcheux avec Peerio, faut-il conseiller une techno de communication qui est open-source mais qui n'est ni acentrée ni communautaire ?

  • Mettre en pratique OTR avec le client Jabber Gajim est un non-sens quand on voit le message de l'auteur du plugin. Ça implique de demander aux personnes de changer de logiciel donc de changer leurs habitudes alors qu'elles utilisent déjà Jabber, ce qui est déjà une excellente chose et un effort consenti.

Le choix n'est pas simple, il dépend du modèle de menace de chacun-e mais il conditionne beaucoup de choses dont les futurs problèmes que nous aurons à résoudre et nous trouvons dommage de demander aux participant-e-s de devoir changer leurs habitutes puis de devoir leur demander un nouvel effort dans quelque temps alors qu'on sait déjà, à l'heure actuelle, que de la crypto fermée ou pas communautaire ou pas acentrée ou pas de bout-en-bout, ça finira forcément mal. Peut-être pas aujourd'hui, certes. Peut-être pas demain, certes. Autant faire franchir un plus grand pas aux participant-e-s mais le faire d'un seul coup, non ? Question à réponses multiples.

• Une erreur fondamentale que l'on a faite durant cette CCPF #1, c'est que ni une majorité des intervenant-e-s, ni les organisateur-rice-s n'ont donné un moyen de joindre toutes les personnes impliquées dans les activités. Et c'est mega dangereux car, maintenant, on a des personnes livrées à elle-même qui ont peut-être des questions et qui, faute de savoir vers qui se tourner (un moteur de recherche n'a pas réponse à tout), ont dû contourner la sécurité. Bref, mettre un contact (mail / tel ou au moins le nom des assos organisatrices), en gros, dans un endroit bien visible et, si possible, sur les slides des intervenant-e-s. Le suivi est aussi important que la CCPF elle-même.
    

• Faire une CCPF sur un seul jour, c'est vraiment trop court et ça pose des problèmes :

  • Toutes les activités ont lieu en même temps donc il est impossible de créer une sorte de parcours initiatique cest-à-dire de permettre aux gens de participer à un talk théorique "pourquoi chiffrer ses communications" puis ensuite à un atelier GPG ou OTR puis ensuite à un atelier chiffrement de supports de stockage, par exemple. Au bout du bout, ça veut dire que l'orga priorise des ateliers, de par la position qu'elle leur assigne dans l'agenda. Or, GPG est-il plus important qu'OTR, par exemple ?

  • Conséquence du point précédent, chaque atelier pratique doit prévoir un moment dans son créneau pour vérifier que la théorie est connue alors que c'est la même théorie pour un ensemble d'ateliers. Il serait plus pertinent de permettre aux débutant-e-s d'assister à l'atelier théorique avant l'atelier pratique. Et ça, ça suppose d'avoir assez de créneaux horaires afin de faire correspondre les disponibilités des animateur-rice-s
      

• Répéter un même atelier plusieurs fois au cours de l'événement est une bonne chose. Exemple de l'atelier GPG : on n'a pas du tout eu le même public, les deux sessions étaient donc utiles. Évidemment, il faut prendre en compte le facteur fatigue des intervenant-e-s au cas par cas.
    
• Heure d'ouverture : on avait choisi de commencer à 10h avec un café-discussion et de boucler à 20h. Proposer des ateliers/talks matin et aprem, ça répond à un besoin : il y a des personnes plus productives / concentrées / attentives le matin, d'autres l'aprem. Sans compter qu'un week-end, c'est court, chacun-e a ses occupations/contraintes et un public présent le matin peut ne pas revenir l'aprem. On a constaté ce dernier point lors de la CCPF #1, en dialoguant avec quelques participant-e-s.
   
• On avait fait 4 réunions de préparation dont la dernière a eu lieu fin septembre + 1 mise en situation le vendredi soir précédant la CCPF. À notre avis, il faut organiser + de réunions quand l'événement approche. Simplement car il y aura des changements dans l'agenda pour convenir à tous les intervenant-e-s, des désistements, des choses pratiques à préparer dans le lieu qui ne pourront pas être préparées en avance car le lieu sera utilisé la même semaine pour d'autres activités, par exemple. Bref, dégrossir des mois avant puis d'autres (courtes) réunions pour fignoler et s'adapter au fil de l'eau.
    
• Comment avait-on fait connaître l'événement ? Mail sur les listes de discussion habituelles (Chats, MDL, LPH,…) + diffusion sur d'autres listes par la mairie (puisque cet événement s'inscrivait dans le cadre de Brest en Biens Communs) + pose d'une quinzaine d'affiches flashy Chats-style dans différents lieux (PL Guérin, MDL, Petite Librairie, Kuutch, Beaux-arts, UBO, pendant la conf' de S. Bortzmeyer, etc.).
    

• On avait eu quelques idées supplémentaires mais on n'a pas eu le temps de les mettre en pratique :

  • Trouver une signalétique pour marquer la difficulté des ateliers/talks genre "1 clé, 2 clés, 3 clés" (des symboles clé). Idée reprise de la présentation « CryptoParty en bibliothèque ? L’exemple de la bibliothèque de l’INSA de Rennes » réalisée par Damien Belvèze & Chloé Lailic lors du Jardin Entropique 2015. Finalement, on a opté pour un libellé "facile / moyen /difficile et très difficile".

  • Faire une sorte de grades à la Caliopen pour indiquer l'état d'avancement des gens dans la "crypto-anarchy", pour les motiver à progresser. Ou un système de badges / pin's : t'assistes à un atelier = tu récupères le badge de l'atelier en question. Ça pourrait même être fédérateur entre plusieurs éditions de CCPF. On n'a pas eu le temps de gérer ça.

  • Feuille d'inscription aux ateliers pour respecter les quotas définis par les intervenant-e-s. Genre tu les mets sur un tableau bien visible dans la salle principale. On avait bien imprimé les feuilles mais on a oublié de les utiliser.

Concernant les activités

• On avait prévu 2h par session pour l'atelier GPG-Enigmail. Ça ne passe pas, les intervenants ont débordé à chaque fois. Il faut prévoir 3h minimum. Même sans pause, les intervenants n'ont pas eu l'impression de perdre des gens en cours de route donc en faisant une pause à mi-parcours, ça devrait passer large.
    
• Sur l'atelier OTR, on a manqué de coordination avec l'intervenant ce qui fait qu'il n'y avait pas de serveur Jabber pour créer des comptes de test pour les participant-e-s. On aurait eu le même souci si l'atelier VPN avait eu lieu. De manière générale, ça fait un point supplémentaire à vérifier avec chaque intervenant-e : est-ce qu'en plus d'un vidéoprojecteur, paperboard, ordinateur et autres objets habituels, il-elle n'a pas aussi besoin d'un serveur (Jabber, IRC, mail, etc.) expérimental réservé aux participant-e-s des ateliers ou tout autre besoin numérique (exemple : connexion à Internet haut débit) ?
    

• La partie GPGBox (expliquer la cryptographie asymétrique, les métadonnées et les backdoors avec des boîtes en papier) de l'atelier GPG-Enigmail semble avoir plutôt bien fonctionné. Quelques conseils et prolongements possibles :

  • Acheter des cadenas à clé bon marché c'est-à-dire des cadenas mal usinés pour lesquels une même clé ouvre 9/10 cadenas de la même série, permet d'illustrer les concepts de backdoor et de "seule la cryptographie bien implémentée et bien utilisée protège".

  • Il faut penser à marquer les clés et les cadenas avec un code couleur (pastilles de couleur / porte-clés de couleur, par exemple). On n'a pas eu le temps lors de la réalisation des nôtres et ça a conduit à des couacs mineurs durant l'atelier.

  • À notre avis, il faut sortir les GPGBox de l'atelier GPG-Engimail pour les utiliser dans un atelier dédié et théorique d'initiation à la crypto. Avec elles, tu peux expliquer crypto symétrique/asymétrique + métadonnées + backdoor. Cependant, pour illustrer la crypto symétrique, des cadenas à code seraient plus pertinents.

  • Concernant les optimisations possibles : il faudrait faire des boîtes plus grandes pour lutter contre l'usure. Pour les trous pour le cadenas, on peut utiliser des œillets de renfort. Idéalement, les box seraient plus pérennes en carton ou en bois et en utilisant des feuilles adhésives effaçables afin de pouvoir réutiliser les box à l'infini.

Koi kon met dans le programme d'une CCPF en 2015-2016 ?

• Nous pensons qu'il y a 3 grands axes inévitables à explorer en parallèle : théorie, "pratique facile" et communication.

  • Dans théorie, on peut mettre : comment fonctionne la crypto, gpgbox, modèle de menace, expliquer pourquoi on a tous-toutes quelque chose à cacher, illustrations de la galère politique ambiante (lois sécuritaires) qui justifie le recours à la technologie mais que ce n'est pas suffisant, qui surveille qui et dans quels buts,… Avant de faire quelque chose, il faut déjà comprendre pourquoi on le fait. Il est donc évident que ces ateliers/talks doivent être sur des créneaux horaires différents de ceux des ateliers/talks plus avancés, histoire que les gens aient l'occasion de passer des ateliers théoriques aux ateliers pratiques.

  • Dans "pratique facile", on peut mettre tout ce qui constitue une première approche pratique en douceur. Il y a deux exemples standards : le chiffrement des supports de stockage (Android, Windows + Veracrypt, GNU/Linux + LUKS) et TOR. Les deux sont simples à mettre en place, sans prise de tête et sont transparents à l'usage. Tu n'as pas la notion de vérification préalable de l'identité du pair qui complique tout comme dans la communication.

  • Dans communication, on peut mettre GPG, OTR, Text Secure, et tu peux monter jusqu'à comment installer et configurer un serveur VOIP avec SRTP et ZRTP pour la confidentialité des conversations téléphoniques au sein d'une petite communauté.

En plus de ces 3 axes, on peut se faire plaisir et mettre des bonus : Freenet, GNUnet, les services cachés de TOR, bitmessage, la stéganographie, le lockpicking, etc. Bref, tous les trucs funs, tous les trucs pas répandus, tous les trucs pas forcément simples à prendre en main, tous les trucs dont on n'a pas encore besoin urgemment mais dont on pourrait avoir besoin si le temps politique se gâte encore plus. À ce sujet, on peut tout à fait envisager des talks politiques genre défense des libertés car la technique ne suffira pas à l'assurer.

Bien évidemment, tu n'es pas obligé de tout faire en une seule fois, tu peux piocher des items dans plusieurs catégories et varier entre chaque CCPF.